परिचय

2021 से, मैंने अपनी जाँच और सुधार (remediation) गतिविधियों में सहायता के लिए कई स्क्रिप्ट विकसित की हैं। मैंने सोचा, क्यों न इन्हें सार्वजनिक रूप से साझा किया जाए, उम्मीद है कि ये आपके काम आएँगी।

ये स्क्रिप्ट कैसे काम करती हैं?

मेरे द्वारा विकसित स्क्रिप्ट Crowdstrike Endpoint Detection and Response (EDR) के साथ काम करने के लिए बनाई गई हैं। मूल रूप से ये क्लाउड स्क्रिप्ट हैं जिनसे एक बटन के क्लिक पर डिवाइसों को दूरस्थ रूप से शीघ्रता से सुधारा (remediate) जा सकता है।

ये स्क्रिप्ट क्यों बनाई गईं?

मेरी स्क्रिप्ट का उद्देश्य SOC या Incident Response Analyst को उनकी जाँच में सहायता प्रदान करना है। कुछ स्क्रिप्ट किसी विशेष अवांछित सॉफ़्टवेयर/एडवेयर के सुधार में सहायता करती हैं। अन्य स्क्रिप्ट किसी विशेष सिस्टम की उपयोगकर्ता नाम (username) द्वारा जाँच करने में सहायता करती हैं ताकि अधिक दृश्यता प्राप्त हो सके।

विषय-सूची

मैनुअल क्लाउड स्क्रिप्ट

• WinInspect - WinInspect एक हल्का-फुल्का टूल है जो किसी विश्लेषक को लक्षित उपयोगकर्ता नाम के आधार पर Windows सिस्टम में अधिक दृश्यता प्रदान करने में सहायता करता है।
• MACInspect - MACInspect एक हल्का-फुल्का टूल है जो किसी विश्लेषक को लक्षित उपयोगकर्ता नाम के आधार पर MAC सिस्टम में अधिक दृश्यता प्रदान करने में सहायता करता है।
• LinInspect - LinInspect एक हल्का-फुल्का टूल है जो किसी विश्लेषक को लक्षित उपयोगकर्ता नाम के आधार पर Linux सिस्टम में अधिक दृश्यता प्रदान करने में सहायता करता है।
• EnumChromeExt - EnumChromeExt Chrome एक्सटेंशन प्राप्त करता है और स्वचालित रूप से नाम का पता लगाने का प्रयास करता है।
• Win-PortScanner - Win-PortScanner एक अत्यंत हल्का पोर्ट स्कैनर है।
• ScanDll - ScanDll किसी विशेष dynamic-link library के लिए प्रोसेस खोजने में सहायता करने वाला टूल है।
• ScanDllv2 - ScanDllv2 C# का उपयोग करके किसी विशिष्ट dynamic-link library के लिए प्रोसेस खोजने हेतु डिज़ाइन किया गया टूल है। यह ScanDll की तुलना में काफी तेज़ है, लेकिन CrowdStrike RTR UI पर मानक आउटपुट प्रदर्शन की समस्याओं के कारण आउटपुट एक लॉग फ़ाइल में लिखा जाता है।
• RegScanner - एक अद्भुत रूप से तेज़ टूल जो किसी अद्वितीय कीवर्ड का उपयोग करके registry key या value खोजने के लिए डिज़ाइन किया गया है।
• UnloadDll - एक और अद्भुत रूप से तेज़ टूल जो प्रोसेस की मेमोरी में लोड की गई dynamic-link library खोजने के लिए डिज़ाइन किया गया है और FreeLibrary का उपयोग करके इसे अनलोड करने का प्रयास करता है।
• Win-DiskImage-Toolkit - डिस्क इमेज को शीघ्रता से सूचीबद्ध (enumerate) करने या अनमाउंट करने के लिए एक सरल टूल।
• ScreenConnect-C2Extractor - ScreenConnect-C2Extractor ScreenConnect उर्फ ConnectWise Client के user.config से C2 प्राप्त करता है।
• Win-PacketCapture - विश्लेषण के लिए पैकेट डंप उत्पन्न करने हेतु एक निर्देशित स्क्रिप्ट।
• jsonspection - JSONSpection एक उपयोगिता है जो JSON डेटा संरचनाओं का गहन निरीक्षण और गणना (enumerate) करने के लिए डिज़ाइन की गई है। यह जटिल या नेस्टेड JSON ब्लॉब्स को तोड़ने, सभी key-value पथों की पहचान करने और डेटा के भीतर समग्र स्कीमा और संबंधों को समझने में आपकी सहायता करता है। यह APIs को डीबग करने, लॉग का विश्लेषण करने, या पार्सिंग और स्वचालन कार्यप्रवाहों के लिए डेटा तैयार करने में उपयोगी बनाता है।
• EvidenceCollection - यह स्क्रिप्ट किसी निर्दिष्ट उपयोगकर्ता की Downloads, Documents और Desktop निर्देशिकाओं से सामान्य उपयोगकर्ता दस्तावेज़ प्रकार—जैसे Word फ़ाइलें, Excel स्प्रेडशीट, टेक्स्ट फ़ाइलें, PDFs और ईमेल—एकत्र करती है। यह स्वचालित रूप से C:\temp\SIRT निर्देशिका बनाती है (यदि यह पहले से मौजूद नहीं है) और केंद्रीय समीक्षा, साक्ष्य संरक्षण, या घटना जाँच के लिए सभी मिलान वाली फ़ाइलों को उस स्थान पर कॉपी करती है। फ़ाइल प्रकार, निर्देशिकाएँ और उपयोगकर्ता नाम को मामले की आवश्यकताओं के अनुसार अनुकूलित किया जा सकता है।
• Win-DmpEventLogs - Win-DmpEventLogs एक अत्यंत उपयोगी फोरेंसिक टूल है जो आपको निर्दिष्ट समय सीमा के भीतर Windows Event Logs डंप करने की अनुमति देता है: 1 = last 24 hours, 7 = last week, 30 = last month, 0 = all events.। पहचान में सहायता के लिए बुनियादी नियम लागू किए गए हैं।
• Win-EnumVsCodeExtension - यह PowerShell स्क्रिप्ट किसी निर्दिष्ट उपयोगकर्ता खाते के लिए स्थापित Visual Studio Code एक्सटेंशन की गणना करती है, जो VS Code एक्सटेंशन निर्देशिकाओं का निरीक्षण करके और प्रत्येक एक्सटेंशन की package.json मेटाडेटा फ़ाइल को पार्स करके की जाती है।
• Win-datebased_filehunt - यह PowerShell स्क्रिप्ट एम्बेडेड C# कोड का उपयोग करके C:\ ड्राइव पर किसी विशिष्ट तिथि पर संशोधित फ़ाइलों की पुनरावर्ती खोज करती है। यह सभी मिलान वाली फ़ाइलों को, उनके पूर्ण पथ, अंतिम संशोधित टाइमस्टैम्प और फ़ाइल आकार सहित, C:\Windows\Temp\hunter_log_results.log पर स्थित लॉग फ़ाइल में लॉग करती है।

Process Execution Rules (Event ID 4688)
Net.exe Execution - General net.exe usage
Net User/Group - Net user/group commands
Net Share - Net share/use commands
Whoami Execution - Whoami command execution
Systeminfo Execution - Systeminfo command
Tasklist Execution - Tasklist command
Nslookup Execution - Nslookup command
Ping Sweep - Ping with -n or -t flags
PowerShell Encoded - PowerShell with encoded commands
PowerShell Bypass - PowerShell bypass techniques
PowerShell Download - PowerShell download strings
Certutil Download - Certutil used for downloads
BITSAdmin Download - BITSAdmin transfer/download
WMIC Process - WMIC process execution
Scheduled Task - Scheduled task creation/execution
Registry Modification - Registry add/delete operations
Service Creation - Service creation/start
Authentication & Access Rules
Network Logon - Network logon (LogonType 3)
Failed Admin Logon - Failed logon to Administrator account
Explicit Credential Use - Event ID 4648
Privilege Escalation - Event ID 4672
Account Management Rules
User Account Created - Event ID 4720
Group Member Added - Event ID 4728
System Configuration Rules
Service Installation - Event ID 4697
Service Modified - Event ID 7045 (System log)
Driver Load - Event ID 219 (System log)
Audit Policy Change - Event ID 4719
Network Share Added - Event ID 5142
WFP Blocked - Windows Filtering Platform blocked connection (Event ID 5157)

CrowdStrike API स्क्रिप्ट

• CSSession - CSSession एक CrowdStrike API स्क्रिप्ट है जो आपको तर्क के रूप में लक्षित होस्टनाम दर्ज करके Real-Time-Response के माध्यम से कनेक्ट करने की अनुमति देती है। इस स्क्रिप्ट का उपयोग करने के लिए आपके पास उचित API अनुमतियाँ होनी चाहिए और आपका clientid / secret सही होना चाहिए।
• CrowdStrike-API-queued-script - CrowdStrike API Queued स्क्रिप्ट आपको अपनी पसंद की क्लाउड स्क्रिप्ट को लक्षित होस्ट पर क्यू करने की अनुमति देती है। इस स्क्रिप्ट का उपयोग करने के लिए आपके पास उचित API अनुमतियाँ और सही clientid / secret होना चाहिए।

CrowdStrike सुधार स्क्रिप्ट

निम्नलिखित लाइब्रेरी में सामान्य अवांछित सॉफ़्टवेयर, एडवेयर और मैलवेयर को हटाने के लिए डिज़ाइन की गई सुधार स्क्रिप्ट (remediation scripts) का संग्रह है जो इंटरनेट पर पाए जाते हैं। यदि आपको कोई विशेष प्रोग्राम मिलता है जिसे आप सुधारना चाहते हैं, तो बेझिझक संबंधित स्क्रिप्ट डाउनलोड करें और अपने वातावरण में उपयोग करें।

• 123Movies
• 1browser
• 39bar
• AceLauncher
• AppMaster
• AppRun
• AskPartnerNetwork
• Ask Toolbar
• BBSK(SecureBrowser)
• Bloom
• BrightTramp
• BrowserAssistant
• ByteFence
• Calendaromatic
• Cash
• Clearbar
• Convertmate
• CrystalPDF
• DSOne Agent
• DebuggerStepperBoundaryAttribute

क्या आपको मेरा काम उपयोगी लगता है और आप समर्थन दिखाना चाहते हैं? बेझिझक मुझे Twitter पर जोड़ें। यदि आप और भी अधिक समर्थन दिखाना चाहते हैं, तो आप मुझे Ko-Fi पर टिप भी कर सकते हैं। ऐसा करने का बिल्कुल कोई दबाव नहीं है; मैं आपके समर्थन की किसी भी रूप में सराहना करता हूँ!

यदि आप अपनी स्वयं की सुधार स्क्रिप्ट प्रदान करके योगदान देना चाहते हैं, तो इसकी अत्यधिक सराहना की जाएगी। जनता को सुरक्षित रखने में कोई भी सहायता अत्यंत मूल्यवान है। कृपया सुनिश्चित करें कि कोड स्पष्ट और संक्षिप्त हो ताकि समीक्षा और सत्यापन प्रक्रिया सुचारू रहे। सबमिशन को issue के रूप में भेजा जा सकता है। मालिक का नाम सुधार स्क्रिप्ट के साथ जोड़ा जाएगा।

किसी स्क्रिप्ट में किसी भी समस्या के लिए, कृपया इसे issue के रूप में रिपोर्ट करें।